En personoplysning er enhver form for information, der direkte eller indirekte kan henføres til en bestemt person. Det er uden betydning, om det er nødvendigt at kombinere informationen med andre oplysninger for at kunne identificere den enkelte person. Det afgørende er, at oplysningen er personhenførbar – enten alene eller i kombination med andre oplysninger.

• Almindelige personoplysninger: Navn, adresse, telefonnummer, e-mail, civilstand, fødselsdag, sygedage, tjenstlige forhold, arbejdsområde og økonomi, CPR-nr., oplysninger om strafbare forhold, sociale problemer, tilknytning til botilbud mv.
• Følsomme personoplysninger: Oplysninger om helbred, race, etnisk oprindelse, politisk, religiøs, filosofisk overbevisning fagforeningsmæssigt tilhørsforhold, seksuelle forhold/orientering samt genetiske data og biometriske data.

Databeskyttelsesforordningen indeholder ikke en facitliste eller oplistning af, hvilke foranstaltninger der skal iværksættes til et tilstrækkeligt sikkerhedsniveau. De rette foranstaltninger skal i stedet etableres på baggrund af en risikobaseret tilgang, hvor risikoen for den enkelte deltager skal vurderes. Du skal herefter træffe en række forholdsregler med henblik på at beskytte den enkelte deltagers rettigheder eller frihedsrettigheder for derved at minimere risikoen for for eksempel identitetstyveri samt tab af ære eller velfærd.    

Det er vanskeligt at lave en risikovurdering, men anvender du regionens veletablerede løsninger til især indsamling, opbevaring og korrespondance, er du godt på vej. Som tommelfingerregel er det afgørende hele tiden at sikre, at personoplysninger om deltagerne ikke kommer i de forkerte hænder, beskadiges eller mistes.  

Ved indsamling af personoplysninger til en spørgeskemaundersøgelse udsætter du for eksempel deltagerne for en højere risiko ved at indsamle oplysningerne på papir end ved at anvende regionens veletablerede løsninger i RedCap eller SurveyXact.

Ligeledes udsætter du deltagere for en højere risiko ved at opbevare de indsamlede personoplysninger fysisk i mapper og skabe frem for elektronisk i et godkendt system. Her kan du læse mere om opbevaring af personoplysninger.

Ved korrespondance indeholdende personoplysninger er det desuden forbundet med betydelig risiko for deltageren, hvis du for eksempel korresponderer via Hot- eller Dadlnet-mails. Risikoen minimeres, hvis du i stedet korresponderer via Digital Post (eBoks) eller imellem to Region Midtjylland-mailadresser.

Tilsvarende ved brug af SMS, som generelt er en usikker måde at kommunikere på. Det er derfor risikabelt for deltageren, hvis en SMS indeholder følsomme og fortrolige personoplysninger.  Derimod minimeres risikoen, når en SMS kun indeholder almindelige personoplysninger om deletageren. Her kan du læse mere om brug af SMS i regionens retningslinje.

For yderligere hjælp til etablering af passende sikkerhedsforanstaltninger og risikovurdering kan Juridisk Enhed for Databeskyttelse kontaktes.

Kravet om udarbejdelse af konsekvensanalyse (data protection impact assesment – i daglig tale også forkortet DPIA) udspringer af databeskyttelsesforordningens artikel 35. En dataansvarlig er herefter forpligtet til at udarbejde en konsekvensanalyse, hvis det vurderes sandsynligt, at behandling af personoplysninger vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Analysen har til formål at beskrive den påtænkte behandling af personoplysninger, vurdere behandlingens nødvendighed og proportionalitet samt bidrage til at håndtere de risici, som behandlingen medfører. 

En konsekvensanalyse skal herefter mindst indeholde følgende: 

• En systematisk beskrivelse af behandlingsaktiviteterne og formålene med behandling af personoplysninger. 
• En proportionalitetsvurdering i forhold til formålene. 
• En vurdering af risiciene for deltagernes rettigheder og frihedsrettigheder. 
• En beskrivelse af de foranstaltninger, der påtænkes for at imødekomme disse risici.

Datatilsynet skal høres inden en behandling af personoplysninger påbegyndes, hvis en konsekvensanalyse viser en høj risiko for deltagerne, og du ikke kan eller vil begrænse denne risiko.

Hvis det er relevant, skal deltagerne desuden høres. Det afhænger af en konkret vurdering af de identificerede risici.    

Nedenstående behandlingsaktiviteter vil altid indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og kræver derfor udarbejdelse af en konsekvensanalyse:  

• Der påtænkes at foretage en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering. 
• Der påtænkes behandling af følsomme personoplysninger i stort omfang.   
• Der påtænkes systematisk overvågning af et offentligt tilgængeligt område. 

Du kan se flere tilfælde, som efter en konkret vurdering vil kræve udarbejdelse af konsekvensanalyse på Datatilsynets hjemmeside.

Vi anvender i Region Midtjylland en skabelon til udarbejdelse af konsekvensanalyser. Skabelonen er udarbejdet i samarbejde med de øvrige regioner. Du kan her læse mere om regionens proces for udarbejdelse af konsekvensanalyser og hente en skabelon.

Du skal altid rådføre dig med regionens DPO-funktion i forbindelse med udarbejdelse af en konsekvensanalyse.